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Apresentamos de maneira detalhada os quatro protocolos de distribuigao de chaves que fundaram 
a importante area da criptografia quantica, numa linguagem acessivel a alunos de graduagao em 
Fisica. Comegamos pelo protocolo BB84, o qual se utiliza de estados de polarizagao de fotons 
para transmitir cliaves criptograficas. Em seguida, apresentamos o protocolo E91, que faz uso de 
singletos para gerar uma seqiiencia de niimeros aleatorios. Finalizamos este artigo apresentando 
o protocolo BBM92 e o B92, os quais podem ser vistos como simplificagoes dos dois primeiros 
protocolos. 

We show in details the four quantum key distribution protocols which initiated the important 
field of quantum cryptography, using an accessible language for undergraduate students. We be- 
gin presenting the BB84 protocol, which uses polarization states of photons in order to transmit 
cryptographic keys. Thereupon we show the E91 protocol, whose security is based on the use of 
singlet states to generate a random sequence of bits. We end the paper with the BBM92 and the 
B92 protocol. These last two protocols can be seen as simplified versions of the first two. 



I. INTRODUgAo 

Desde os primordios da civilizagao o homem sempre se 
deparou com o problema de transmitir secretamente in- 
formagoes importantes. A ciencia que estuda essa arte de 
se comunicar confidencialmente, tendo a certeza de que 
somente as partes interessadas terao acesso a informagao, 
recebe o nome de criptografia. 

Muitos dos modernos protocolos de criptografia anun- 
ciam publicamente o algoritmo utilizado para encriptar 
e decriptar a mensagem. Ao anunciar publicamente este 
procedimento, permitimos a todos, inclusive quem de- 
sejamos que nao tenha acesso a mensagem, conhecer o 
modo de deixa-la secreta. A seguranga desses protoco- 
los se baseia apenas em uma longa seqiiencia de niimeros 
aleatorios que o emissor (Alice) e o receptor (Bob) da 
mensagem devem compartilhar em segredo. Ninguem 
mais pode conhecer esses niimeros. Ou seja, o sucesso 
desses protocolos depende exclusivamente da capacidade 
de OS envolvidos na comunicagao serem capazes de com- 
partilhar essa seqiiencia de niimeros aleatorios, tambem 
conhecida como chave criptografica, certificando-se de 
que ninguem mais consiga ter acesso a ela. 

Para compartilhar essa chave, Alice e Bob usam um 
canal classico de comunicagao. Por mais seguro que 
ele seja, em principio ele pode ser monitorado por al- 
gum agente externo (Eva) sem que Alice e Bob perce- 
bam. Eva pode obter a chave, sem Alice e Bob notarem. 
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pois qualquer informagao classica pode ser clonada. Eva 
pode, por exemplo, interceptar a chave enviada por Al- 
ice a Bob e, em seguida, reenvia-la a ele. Hoje em dia, 
no entanto, para contornar este problema utilizamos os, 
assim chamados, protocolos de chave piiblica (ampla- 
mente utilizados nas transagoes financeiras via internet). 
Sua seguranga, porem, nao e matematicamente prova- 
da e desabaria perante o aparecimento de computadores 
quanticos. Na segao seguinte nos detemos um pouco mais 
neste aspecto. 

Agora, se Alice e Bob usarem um canal quantico de 
comunicagao, eles terao certeza de que a transmissao da 
chave foi realizada com seguranga total, ou de que ela foi 
interceptada por Eva. Essa seguranga e baseada nas leis 
da Mecanica Quantica e, desde que aceitemos que ela e 
uma teoria completa no sentido de Bohr jlj, |^ , nao ha 
meio de se burlar essa seguranga. 

O primeiro protocolo de criptografia quantica, ou 
mais corretamente, protocolo de distribuigao de chaves 
quanticas, foi proposto por Bennett e Brassard, no ano 
de 1984 Q. Ele tambem e conhecido como protocolo 
BB84. E usual, entre os criptologos, nomear um proto- 
colo de criptografia usando-se as iniciais dos nomes dos 
autores que o criaram mais o ano de sua invengao. A 
transmissao da chave e feita enviando-se fotons que po- 
dem ser preparados em quatro estados de polarizagao. Os 
fotons, neste protocolo, nao estao emaranhados. Entre- 
tanto, Artur K. Ekert criou um protocolo (E91) 4] que 
faz uso do estado do Bell |*-) = (l/^/2)(|01) - |10)) 
para transmitir chaves quanticas. Sua seguranga esta 
baseada na impossibilidade de violagao da desigualdade 
de Clauser-Horne-Shimony-Hoh (CHSH) 5]. Em 1992, 
Bennett, Brassard e Mermin ,6] simplificaram o proto- 
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colo E91 criando o protocolo BBM92 e provaram de um 
modo muito simples e profundo a impossibilidade de as 
chaves serem conhecidas por outra pessoa sem Alice e 
Bob perceberem. Tambem em 1992, Bennett cnou o 
protocolo B92, no qual apenas dois estados de polarizagao 
de fotons sao utilizados para se transmitir seguramente 
uma cliave criptografica. 

Neste artigo discutimos em detalhes os quatro protoco- 
los de transmissao de chaves quanticas acima menciona- 
dos. Pretendemos apresenta-los do modo mais simples e 
intuitivo possfvel, pois acreditamos que alguns deles ja 
podem e devem ser ensinados durante um curso de grad- 
uagao em Fisica. Alunos que ja tenham ou estejam estu- 
dando Mecanica Quantica (MQ) conseguem, sem muito 
esforgo, entende-los. Acreditamos tambem que estes pro- 
tocolos possam vir a ser ferramentas muito liteis ate para 
se ensinar MQ, pois eles representam aplicagoes praticas 
e importantes de conceitos inerentes ao mundo quantico. 



II. BB84 

Uma das particularidades da Criptografia Quantica 
(CQ) esta no fato de que a melhor forma de se comegar a 
entende-la e estuda-la consiste na leitura do primeiro ar- 
tigo dedicado a esse assunto . Em ciencia isto e um fato 
raro. Nao e comum recomendar a um aluno iniciando- 
se em alguma area do conhecimento a leitura dos artigos 
que a fundaram. Geralmente, apos a aparigao desses arti- 
gos, outros mais simples e pedagogicos sao publicados, os 
quais sao mais adequados para um aprendiz. Felizmente 
isso nao ocorre com a CQ. De fato, a simplicidade da Ref. 
U a torna nao somente ampla e unanimemente recon- 
hecida como a fundadora da CQ, como tambem, a nosso 
ver, a melhor introdugao a essa area. Ela tem quatro 
paginas e esta escrita numa linguagem tao clara, precisa e 
direta que qualquer aluno que tenha feito um curso intro- 
dutorio de Mecanica Quantica pode entende-la sem muito 
esforgo. A Ref. 0] se enquadra na honrosa categoria de 
trabalhos cienti'ficos que podem ser lidos ao sofa, em 15 
minutos, desfrutando-se de um bom cafe. No restante 
desta segao vamos fazer um resume deste artigo, enfati- 
zando aspectos que serao fundamentals para o entendi- 
mento dos outros protocolos de CQ apresentados nas 
segoes seguintes. Para os leitores mais interessados, re- 
comendamos com entusiasmo a leitura do trabalho origi- 
nal de Bennett e Brassard, o qual pode ser gratuitamente 
copiado a partir da pagina pessoal de Charles H. Bennett: 
www. research. ibm.com/people/b/bennetc/chbbib. htm. 

Antes de iniciar a exposigao do protocolo BB84, vale 
a pena dizer que este protocolo e usado em todos os sis- 
temas bem-sucedidos de CQ instalados ate hoje e, mais 
ainda, ele e o linico oferecido por duas companhias espe- 
cializadas em seguranga de transmissao de dados. Assim, 
mesmo sendo o primeiro protocolo proposto na literatu- 
ra, ele ainda e, apesar das muitas alternativas de CQ 
apresentadas a posteriori^ aquele de maior importancia 
pratica e comercial. 



A Ref. '3*1 apresenta, pela primeira vez, a ideia de que 
a Mecanica Quantica (MQ) pode ser utilizada para al- 
cangar uma das principais metas da criptografia, i.e., a 
distribuigao segura de uma chave criptografica (seqiiencia 
de niimeros aleatorios) entre duas partes (Alice e Bob) 
que inicialmente nao compartilham nenhuma informagao 
secreta. Para isso, Alice e Bob devem dispor nao so de 
um canal quantico, mas tambem de algum canal classico 
de comunicagao. Este ultimo pode ser monitorado pas- 
siva mas nao ativamente por um agente externo (Eva). 
Por meio dessa chave, Alice e Bob podem com absoluta 
certeza se comunicar com seguranga. A garantia da dis- 
tribuigao segura de chaves por meio da CQ se sustenta na 
validade da MQ tal qual a conhecemos. Em contraste, a 
criptografia de chave publica e considerada segura devido 
a um suposto grau de complexidade matematica inerente 
ao algoritmo de decodificagao necessario para recuper- 
ar a mensagem criptografada se nao conhecemos a chave 
privada. No entanto, esse resultado nunca foi matemati- 
camente provado e nao ha nada que impega a criagao de 
um algoritmo (quem sabe ele ja nao esteja nas maos de 
alguma agenda de inteligencia governamental) que possa 
facilmente decodificar, por meio de computadores con- 
vencionais, mensagens secretas oriundas de protocolos de 
chaves piiblicas. Pior ainda, a seguranga da criptografia 
de chave piiblica tradicional desabaria perante o apareci- 
mento de computadores quanticos, o que nao aconteceria 
com sistemas de distribuigao de chaves por CQ. 

Na Introdugao da Ref. 3j, apos uma breve digressao 
sobre sistemas criptograficos tradicionais, os autores ex- 
plicitam claramente as novidades que serao apresentadas 
no artigo: como utilizar a MQ para (1) criar protocolos de 
transmissao segura de chaves criptograficas e (2) "jogar 
cara-ou-coroa" sem possibilidade de enganar o oponente. 
Apos a Segao II, onde os autores apresentam o formal- 
ismo a ser utilizado, na Segao III discute-se o protocolo 
para distribuigao de chaves e na Segao IV o protocolo 
para jogar cara-ou-coroa sem trapacear. Aqui expomos 
apenas o protocolo de transmissao de chave criptografica, 
i. e., o famoso protocolo BB84. 

Este protocolo utiliza-se de sistemas quanticos de dois 
nfveis. Assim, os estados |0) e |1) representam fotons lin- 
earmente polarizados em diregoes ortogonais. Por exem- 
plo, OS estados |0) e |1) podem representar fotons que se 
propagam na diregao z com campos eletricos oscilando no 
piano xy. As diregoes de polarizagao sao representadas 
por vetores unitarios. Usando coordenadas esfericas, de 
acordo com a notagao definida na Fig. precisamos de 
dois parametros (angulos) para especificar uma diregao 
de polarizagao. 

Alice e Bob devem primeiramente escolher duas bases 
que serao utilizadas para a transmissao e recepgao dos 
fotons. Cada base e composta por dois estados ortogo- 
nais de polarizagao. Eles podem escolher, por exemplo, 
polarizagoes contidas no piano xy (9 = 7r/2). Tomando 
(/i = Oe0 = 7r/2 definimos as diregoes de polarizagao de 
uma das bases (base A). Usando (/) = 7r/4e(/) = 37r/4 
obtemos a outra (base B). Veja Fig. [3 
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Figura 1: Coordciiadas csforicas. O aiigulo polar 6 varia dc 
a TT e o angulo azimutal 4> de a. 2n. Aqui, o vetor r, de 
modulo r, tem projegao no piano xy dada por p = r sin 9. As 
coordenadas cartesianas se relacionam com as coordenadas 
esfericas pela seguinte equagao: r = x'x. + yy + zz = 
r sin 9 cos x + r sin sin y + r cos 9 z. 




Base A Base B 



Figura 2: Rcprosontacao das bases A c B. O cixo z nao csta 
deserihado pois temos polarizagoes pertencentes ao piano xy. 



O cstado dc polarizagao de qualqucr foton pode ser 
representado como uma combinagao linear de dois esta- 
dos ortogonais de polarizagao. Dessa forma, por meio 
dos estados que forniam a base A ou a base B, podcmos 
representar qualquer estado de polarizagao de um foton. 

Alice e Bob tambem devem combinar previamente 
quais estados ortogonais dc cada uma das bases rcprc- 
sentam o bit e o bit 1. Isso pode ser feito via um 
canal tradicional (classico) de comunicagao. No nos- 
so exemplo, utilizamos os fotons polarizados na dirccao 
(/> = ou = 7r/4 para representar o bit (|0)a c 
\0)b) c aquclcs com polarizagao na dirccao (j) = n/2 ou 
(p = 37r/4 representando o bit 1 {\1)a e Nesta 
notagao, o submdice em cada ket indica se temos fotons 
polarizados nos autocstados da base A ou B. Note que 
|0)b = (1/V2)(|0)a + |1)a) e \1)b = (1/V2)(|0)a- 

Alice, para transmitir a chave, procede da seguinte for- 
ma. Primciro cla cscolhc qual scqiicncia alcatoria dc bits 
enviara a Bob (vamos usar, por exemplo, 001111...). De- 
pois, qual a base utilizada para transmitir cada bit. Ela 
pode transmitir os dois primeiros bits utilizando-se da 
Base A, os tres bits seguintes utilizando-se da Base B, 



o bit seguinte utilizando-se novamcntc da Base A, c as- 
sim por diantc. Dcssa forma, ela cstaria cnviando a Bob 
uma seqiiencia dc fotons rcprcscntados pclos seguintes 
kets: |0)a, |0)a, |1)b, |1)b, |1)a, etc. Bob, por sua 
vez, deve escolher apenas qual base ele ira utilizar para 
detectar cada foton. Ele oscila entre as bases A e B 
aleatoriamente . 

Apos a transmissao e detecQao dos fotons, Alice e Bob 
revclam publicamente quais bases utilizaram para enviar 
e detectar cada foton, respectivamente. Mas Alice nao 
revela se enviou Os ou Is e Bob nao revela o resultado de 
suas mcdidas. Apenas as bases utilizadas (base A ou base 
B) sao publicamente reveladas. A seguir, eles consideram 
apenas os resultados nos quais ambos utilizaram a mesma 
base, dcscartando todos os demais. Agora eles revclam 
publicamente uma parte destes resultados (metade, ou 
um tergo, por exemplo). Se Eva nao monitorou a trans- 
missao, OS resultados rcvclados por Bob c Alice devem 
coincidir; mas se cla a monitorou, a probabilidade de que 
todos OS dados piiblicos coincidam c praticamente nula 
(provamos isso um pouco mais a frente). Se os dados 
revelados publicamente coincidirem, isso sera uma prova 
de que Eva nao monitorou a transmissao c clcs podcm 
usar o restante dos dados como a chave. (Por restante 
dos dados entendemos aqueles nos quais ambos usaram 
a mesma base para enviar e medir os fotons.) E aqui 
termina o protocolo. 

Se Eva monitorou os dados, a parte da informagao rev- 

elada publicamente por Alice c Bob nao ira coincidir ou, 
mais rigorosamente, a probabilidade de que elas coin- 
cidam e praticamente nula. A prova deste fato e co- 
mo segue. Para simplificar a demonstragao e sem per- 
da dc gcneralidade, supomos que Alice, Bob e Eva uti- 
lizam metade das vezcs a Base A c metade das vezes a 
Base B, Alice para transmitir e Eva e Bob para detec- 
tar OS fotons. Se Alice e Bob utilizam a mesma base, 
a probabilidade de Eva usar a mesma base vale 0.5 (se 
Alice e Bob utilizaram a Base A, por exemplo, a prob- 
abilidade de Eva tambem ter utilizado essa base e 0.5). 
Agora, se Eva utiliza para monitorar os fotons a out- 
ra base, a probabilidade de Bob medir corretamente o 
valor do bit transmitido e de apenas 0.5 e nao 1, co- 
mo devcria ser se nao tivcssemos um espiao ou se Eva 
tivesse optado pela base correta. Formalmcnte, supon- 
hamos que Alice enviou o foton representando o bit 1, 
na Base A (|1)a ) e Bob corretamente mediu na base A, 
porem Eva mediu o foton, antes de ele chegar a Bob, na 
base B. Procedendo dessa forma, Eva tera colapsado o 
estado de polarizagao dos fotons em um dos autovetores 
da base por ela utilizada, i.e., |0)b = (1/\/2)(|0)a + |1)a) 
ou |1)b = (1/\/2)(|0)a - |1)a). Assim, quando Bob re- 
alizar sua medida, a chance de ele medir, |1)^ e de ape- 
nas {1/V2y = 0.5, independente do resultado obtido 
por Eva. O fato dc Eva escolher a base errada implica, 
para um evento, uma probabilidade igual a 0.5 de Bob 
detectar o valor correto para o bit transmitido por Al- 
ice. Para uma chave muito grande, a probabilidade de 
Bob detectar todos os bits corretamente, com Eva inter- 
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ferindo, tende a zero ou, mais rigorosamente, a (0.5)^, 
onde N e o niimero de vezes que Eva usou a base errada. 

Vale a pena lembrar que estados quanticos arbitrarios 
nao podem ser clonados. Isso foi demonstrado indepen- 
dentemente por Wootters e Zureck 8] e por Dieks 
Isso garante que Eva nao pode simplcsmcnte duplicar o 
estado quantico dos fotons enviados por Alice, medir um 
deles e enviar a Bob o outro. Isso possibilitaria a Eva de- 
tectar a polarizagao correta dos fotons transmitidos por 
Alice sem ser descoberta, tornando o protocolo BB84 in- 
seguro. 

Para melhor entender todas as etapas do protocolo, 



a Tab. d Simula um exemplo de transmissao de chave 
quantica. Consideramos uma situagao bem geral, na qual 
alguns fotons podem se perder durante a transmissao, de 
forma que Bob nao os recebe. 

Finalizamos esta segao contando dois fatos relaciona- 
dos ao nascimento desta primeira proposta de CQ. Acred- 
itamos que estas duas historias sao de interesse para estu- 
dantes de graduagao em Fisica. Ambas foram extrafdas 
do livro The Code Book, de Simon Singh jT^- Elas rev- 
elam bastante bem as angiistias e momentos de tensao 
pelas quais muitos Ffsicos passam durante alguns (para 
nao dizer varios) momentos de suas vidas profissionais. 



Tabela I: As cinco primeiras linhas correspondem a transmissao quantica. As outras cinco, a discussao piiblica entre Alice e 
Bob. A ultima representa a chave compartilhada por eles. 



Sequencia de bits de Alice 





1 


1 





1 


1 








1 





1 


1 


Bases escolhidas por Alice 


B 


A 


B 


A 


A 


A 


A 


A 


B 


B 


A 


B 


Fotons enviados por Alice 


|0)s 






|0)a 




Wa 


|0)a 


|0)a 




|0)s 


Wa 


Wb 


Bases escolhidas por Bob 


A 


B 


B 


A 


A 


B 


B 


A 


B 


A 


B 


B 


Bits recebidos por Bob 


1 




1 




1 













1 


1 


1 


Bob informa fotons detectados 


A 




B 




A 


B 


B 


A 




A 


B 


B 


Alice informa bases corretas 






OK 




OK 






OK 








OK 


Informagao compartilhada 






f 




1 















1 


Bob revela alguns bits da chave 










1 
















Alice confirma estes bits 










OK 
















Restante de bits e a chave 






1 
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A primeira delas trata-se de uma pessoa que estava a 
frente de seu tempo: Stephen Wiesner, quem, em 1960, 
teve a ideia de utilizar a MQ de forma parecida a utiliza- 
da hoje em CQ. Ele demonstrou a possibilidade teorica 
de se fazer "dinheiro quantico" , impossivel de ser falsifi- 
cado gragas a um sistema de armazenamento quantico de 
bits. Longe de pratica, a ideia era, porem, revolucionaria. 
Anos mais tarde Bennett e Brassard inspiraram-se nessa 
ideia de "dinheiro quantico" para criar o protocolo BB84. 
Contudo, o mais interessante dessa historia consiste em 
a ideia de Wiesner ter sido absolutamente ignorada no 
seu tempo. O seu orientador pediu-lhe que abandonasse 
a ideia e voltasse ao "trabalho" , mostrando total desin- 
teresse por ela. Conta Wiesner: "Nao obtive nenhum 
apoio do meu orientador de tese - ele nao mostrou o 
mmimo interesse pela minha ideia. Mostrei-a para out- 
ras varias pessoas e todas fizeram uma cara de estran- 
heza e voltaram ao que ja estavam fazendo naquela ho- 
ra" . Apesar disso, Wiesner submeteu a sua ideia para ser 
publicada numa revista cientifica. O artigo foi recusado. 
Submeteu-o a outras tres revistas, e outras tres vezes ele 
foi recusado. Desiludido, e consciente do grande interesse 
de Bennett por assuntos mais amplos, Wiesner enviou o 
seu rejeitado artigo a ele. Bennett ficou imediatamente 
fascinado pela ideia, mostrando-a para Brassard. Alguns 



anos depois, os dois juntos, inspirados na ideia de utilizar 
a MQ como proposto por Wiesner, inventaram o hoje em 
dia reconhecido e aclamado campo da CQ. 



A segunda historia pitoresca refere-se ao exato momen- 
to no qual Bennett e Brassard inventaram o protocolo 
BB84. Em 1984 fazia ja algum tempo que ambos vin- 
ham tentando achar uma solugao para o problema da 
distribuigao de chaves, num cenario futun'stico onde a 
computagao quantica inviabilizara os atuais metodos de 
criptografia de chave piiblica. Um dia, quando estavam 
esperando o trem que levaria Brassard a seu lar, em Mon- 
treal, desde os laboratorios Thomas. J. Watson, da IBM, 
onde Bennett trabalhava, a solugao para o problema 
surgiu. Esperando o trem na estagao Croton-Harmon, 
conversando descontrafda e informalmente, num momcn- 
to de eureka, eles tiveram a brilhante ideia que levou ao 
protocolo BB84. Como afirma Simon Singh em The Code 
Book, se o trem tivesse chegado apenas alguns minutos 
antes eles teriam se despedido sem fazer nenhum progres- 
so no problema da distribuigao de chaves. 
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III. E91 

Alice e Bob dispoem, agora, de um canal quantico que 
emite singletos: I*") = (l/^/2)(|01) - |10))|i3. Alice 
recebe um dos constituintes do singleto enquanto Bob 
recebe o outro. Vamos supor, sem perder em generali- 
dade, que as parti'culas viajam ate Alice e Bob ao longo 
da diregao z. Ao receberem-nas, Alice e Bob medem o 
spin de suas parti'culas ao longo da diregao e b^ , re- 
spectivamente. O vetor (bj ) e unitario e caracterizado 
pelos angulos polar (Oj) e azimutal ipf (f'j)- Veja a 
Fig. n Tanto Alice quanto Bob orientam, aleatoriamente 
para cada medida de spin, sens detectores ao longo de 
tres vetores contidos no piano xy, \. e. 9f = 6j = Tr/2. 
Os angulos azimutais que caracterizam estes vetores sao: 
ipi = 0, = 7r/4 e = 7r/2 para Alice, e ip\ = n/A, 
(P2 = tt/2 e ip^ = 3tt/A para Bob. 

A partir destes vetores, podemos definir o coeficiente 
de correlagao de medidas de spin (polarizagao) ao longo 
das diregoes a^ e bj como sendo 

E{ai,hj) = Poo(a,:,bj) +Fii(ai,bj) 

-Poi(ai,bj) - Pio(ai,bj). (1) 

Aqui Poo(ai,bj),Pii(ai,bj),Poi(ai,bj) e Pio(aj,bj) re- 
presentam a probabilidade de obtermos os resultados 
(+1,+1), (-1,-1), (+1,-1) e (-1,+1) ao longo das 
diregoes a^ e bj, respectivamente. Atribufmos o valor 
1 para uma medida do estado |0) e valor —1 para uma 
medida do estado |1). Assim, o coeficiente de correlagao 
nada mais e do que a probabilidade de Alice e Bob medi- 
rem o mesmo valor de spin menos a probabilidade de 
obterem valores diferentes. 

Para um estado puro, a Eq. (Q) pode ser escrita da 
seguinte forma, 

£;(a„b,) = (vl/-|a^^®a^jvl/-), (2) 

onde a^^ = a.^ • e a^, = hj ■ , = {a^.a^.crf) 

e — {a^ ,ay ,af) e o ponto representa o produ- 
to escalar. Para vermos isso basta lembrar que qual- 
quer estado puro de dois qbits pode ser escrito como 

I*-) = a|0)aJO)b,+fo|0)aJl)b,+c|l)aJO)b,+d|l)aJl)b,, 

com a,b,c e d complexes, |0(l))ai autovetor de a^. e 
|0(l))bj autovetor de a^^.. Substituindo essa expansao 
de l^") na Eq. Q obtemos 

£;(a„b,) = |ap + |dp-|6|2_|c|2. (3) 

Agora, como |ap = Poo(ai,bj), |dp = Pii(aj, bj), |6p = 
Poi(ai,bj) e |cp = Pio(ai,bj), recuperanios a Eq. ^ a 
partir de 

Sendo as componentes cartesianas dos vetores a^ = 



{aj;,ay, az) e b^ = {b^, by, bz) temos que 

c^a. ® <^h, = axbx(y^(y^ + a^bya^a^ 
+axbzO-^o-^ + ayb^aya^ 
+ayby(jy(jy + aybz<7yaf 
+azbxcr^cr^ +a;,byaf(7y 
+a,b,c7^af. (4) 

Ja que a^. ® a^. e um observavel (sua media tem que 
ser real) e (7y\0) — i|0) e crj,|l) = — i|l), somente termos 
com um mimero par de ay's na Eq. sao relevantes 
no calculo de E{ai,hj). Alem disso, como as aplicagoes 
de ax e ay em |0(1)) produzem estados ortogonais e a 
aplicagao de a^ produz apenas uma fase global no estado 
em que ele atua, termos que possuem um mimero fmpar 
de cr^'s se anulam. Dessa forma, os linicos termos da 
Eq. contribuindo no calculo de E{ai,hj) sao 

S(a„bj) = {^-{axb^a^a^ + aybya^a^\^-) 
+ (*-|a.6,a>f|*-) 

= ((01k.V^|10) + (10|a>f 101)) 

-^((oikXlio) + (ioi-Xloi)) 

+^((01|aX^|01) + (10|aM|10)) 
= ~{axbx + ayby + a^b^) 

= -a, -b,. (5) 

Como era de se esperar, se Alice e Bob medem sens qbits 
na mesma diregao, a^ = hj, obtemos E(ai, a;) ~ —1. Isto 
expressa, para este caso em particular, o fato de que o 
novo estado descrevendo o par de qbits scmprc sera |01) 
ou 1 10), nao importando a orientagao do vetor a^. 

Precisamos definir so mais uma quantidade antes 
de apresentarmos o protocolo de transmissao de chave 
quantica 0: 

S = E{aiM) - E{aiM) + ^(a3, bi) + ^(as, bg). (6) 

Como o angulo formado por todos os pares de vetores 
que aparecem acima vale 7r/4, exceto para o par ai e bs, 
o qual e de 37r/4, temos que i?(ai,bi) = — i?(ai,b3) = 
S(a3,bi) = £:(a3,b3) = -V2/2. Portanto, 

S = -2V2. (7) 

Voltando ao protocolo, apos Alice e Bob finalizarem 
as medidas nos varios pares de qbits oriundos de single- 
tos, eles anunciam publicamente as orientagoes escolhidas 
para cada medida e se detectaram ou nao sens qbits. Eles 
descartam todas as medidas em que pelo menos um de- 
les nao detectou nenhum qbit. Isso ocorre pois o detector 
nao tem eficiencia um. Em seguida eles separam todas as 



6 



suas medidas em dois grupos: 1) grupo de todas as medi- 
das nas quais Alice e Bob usaram orientagoes diferentes 
em seus detectores; 2) grupo onde ambos usaram a mes- 
ma orientagao ({a2,bi} e {33, b2}). Feita essa triagem, 
Alice e Bob anunciam publicamente os resultados obti- 
dos para todas as medidas do grupo 1. A partir destes 
dados eles calculam S, cujo resultado deve ser igual ao 
fornecido pela Eq. {T)). Se esse resultado se verificar, eles 
podem utilizar os dados do grupo 2, os quais estao anti- 
correlacionados, como chave criptografica. Caso o val- 
or de S nao seja aquele dado pela Eq. Q, Alice e Bob 
descartam todos os seus dados e recomegam o protocolo. 

A fim de provar a seguranga desse protocolo, deve- 
mos calcular o valor de S supondo que um terceiro su- 
jeito, diga-se Eva, interfira na transmissao dos qbits. 
Suponhamos que Eva mega os qbits de Alice e Bob nu- 
ma diregao lia e rib, respectivamente. Dessa forma, ao 
medir o singleto Eva obtem uma das quatro possibili- 
dades abaixo representadas: 



I*- 



mcdida 



|0>„J0), 



I*-) '"-^'^ |l)nJO)„, 
|*-> "^'^ |l>„Jl)n. 



(8) 



Para simplificar as contas, e sem perder em generali- 
dade, podemos expandir o vetor num sistema de re- 
ferenda x'y'z', onde z' e paralelo a na e o vetor hj num 
sistema x"y"z" onde z" e paralelo a n;,. Fizemos esta 
escolha de tal forma que as relagoes abaixo sejam satis- 
feitas: 



'^x'|0(l))n„ 


= |l(0))n„, 


(11) 


<^f"|0(l))n. 


= |i(o))„„ 


(12) 


^,^|0(l))n„ 


= i(-i)|l(0))n„, 


(13) 


S'^'|0(l))n. 


= i(-i)|l(0))„„ 


(14) 


^.^|0(l)>n„ 


= +(-)|0(l)>n„, 


(15) 


^f^'|0(l)>n. 


= +(-)|0(l)>n.. 


(16) 



Nestes sistemas de coordenadas, 



4y' 



a^x 



11 I I / // // I u I I 



z , 



(17) 
(18) 
(19) 
(20) 
(21) 
(22) 



onde 



^1 eaf^. 



)nj, sao OS autoestados dos operadores 



Vamos definir as fungoes |a(na,nb)P, |/3(na,nb)p, 
|7(na,nb)P e |(5(na,nb)P para representar as probabil- 
idades de detecgao de cada uma das respectivas qua- 
tro possibilidades acima expostas. Explicitamos a de- 
pendencia das probabilidades em termos das orientagoes 
ria e Ob para realgar que elas dependem da estrategia de 
medida utilizada por Eva. Sendo assim, o estado misto 
que chega a Alice e Bob apos Eva realizar suas medidas 
e 



onde x',y',z' e x",y",z" sao os versores que expan- 
dem, respectivamente, os sistemas de referenda x'y' z' e 



x"y"z". 



Usando as expansoes anteriores podemos escrever os 
operadores cr^. e da seguinte forma: 



(J 

_A 



I A 



I 



ill B , 1,11 B I ill B 



Por meio das Eqs. H23|) e 1241) vemos que 



(23) 
(24) 



C = |a(na,nb)no)„jO)„,„„(0|„,(0| 
+ |/3(na,nb)nO)„Jl)n, „„(0|n,(l| 
+ |7(na,nb)ni)„jO)n, „„(1|„,(0| 
+ |<5(na,nb)ni)„Jl)„, „„(1|„,(1| 



(9) 



Para um estado misto qualquer, a Eq. pode ser 
escrita como 



(10) 



^ihii^A„B I „iuii„A„B 

O-xOx'^x-'^x" + O'x.OyCTx'Cry,, 

: I uii A B , I ill A B 



I I ill A B I I ill A B 
I „i uii „AB 



Retornando ao calculo do coeficiente de correlagao, ve- 
mos que substituindo a Eq. em H10|) temos 



Novamente podemos ver isso expandindo C na base 
{|n)ajm)bj ai(fc| no qual n, m, fc, / = 0, 1. Temos 

no total 16 vetores. No entanto, ao tomarmos o 
trago, apenas os elementos da diagonal serao difer- 
entes de zero. Estes, por sua vez, sao dados por 
Poo (ai , bj- ) , Pii (ai , ) , -Poi (ai , bj ) e -Pio (ai , b^ ) , mos- 
trando que a Eq. (|10|) e equivalente a Eq. (Q. 



E{aii,hj) = |a(na,nb)P „^ 
-f|/3(na,nb)pn, 
+ l7(na,nb)Pn, 
+ |(5(na,nb)P„J 



„,(0|I]|0)„JO)n, 
n.(l|S|0)„Jl)n. 



l|n.(l|S|l 



S|l)nJO)„, 
l)n., 
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Observando as Eqs. H11I16|I . os linicos termos de a^. (8) 
a^^ que contribuem no calculo de E{ai,hj) sao 

^^^ry = |«K,n,)p„„(OU,(0|I].|0)„jO)„, 

+ \l3{na,nt)\\Mn,mz\0)nJl)n, 

+ |7K,n,)|2„Jl|„^(0|S,|l)„jO)„, 
+ |<5K,n,)|\„(lU,(l|S,|l)„Jl)„, 
E{a,,hj) = f{n,,n,)a'X- (25) 

Na expressao anterior Ez = f^cr^' e /(na,nf,) = 
|a(na,n6)p - \(3{na,nb)\'^ - \j{na,nb)\'^ + \S{na,nb)\'^ . 
Como a soma do modulo quadrado dos coeficientes da 
expansao de C vale 1, entao |/(na,nh)| < 1. 
Por meio das Eqs. p9l22|l obtemos 

4 = • Ha, (26) 
6" = b, • rifc. (27) 

Assim, a Eq. H25|) e reescrita como 

E{a„hj) = |/(n„,nb)|(a, •n,)(b, - rib), (28) 

onde tomamos o modulo de /(na, rih) para enfatizar que 
sempre podemos te-lo positivo, simplesmente redefinindo 
OS eixos Ua e rifc. 

Alem disso, Eva pode mudar sua estrategia de medida 
para cada par interceptado, bastando para isso alterar a 
orientagao de e n^. A fungao de correlagao final se 
torna, pois, 

E{a,,hj) ^ J dnadnbg{na,nb){ai ■na){hj -nb), (29) 

onde g{na, rib) e probabilidade de cada estrategiaj^ uti- 
lizada por Eva, i. e., J driadrifc g{na,nb) = 1. 

Finalmente, usando a Eq. H29|l a fungao S pode ser 
assim escrita: 



5 = y dnadnbg{na,nb)[ 



(ai • na)(bi • rib) - (ai • na)(b3 • rib) 
+ (a3 • na)(bi • nb) + (as • nQ)(b3 • Ub)] 

dnadnbg{na,nb){ 

(ai • na)[bi • rib - bs • rib] 
+ (a3 • na)[bi • rib + bs • rib]}. 



(30) 



Agora, como todos os vetores que aparecem na Eq. (|30f) 
sao unitarios, todos os produtos escalares tern modulo 
menor ou igual a 1. Assim, 

151 < J dnadnbg{na,nb){ 

|ai • nallbi • rib - b3 • nb| 
+ |a3 • riallbi • rib + b3 • nb|}. 

< y dnadnb£i(na,nb){|bi •nb-b3 -ribl 

+ |bi •nb + b3 -ribl} (31) 



Analisando o termo entre chaves na Eq. H31|l vemos que 
ele e da forma jx— 2/| + |a;+2/|, onde x = bi-rib cy = b3-nb. 
Mas |x - y| + |a; + y| < |a;| - \y\ + \x\ + \y\ = 2\x\, se 
\x\ > \y\ ou \x-y\ + \x + y\< \y\ - \x\ + \x\ + \y\ = 2\y\, 
se < \y\. Portanto, |a; — y| + ja: + j/| < max{2|a;|, 2\y\}. 
E como |a;| < 1 e \y\ < 1 entao |x — j/| + |a; + < 2. 
Usando este ultimo resultado na Eq. H31|l e lembrando 
que g{na,nb) esta normalizada, 



\S\<2. 



(32) 



A Eq. H32|) claramente mostra que qualquer inter- 
ferencia feita por Eva nos pares de qbits que se dirigem 
ate Alice e Bob pode ser detectada por eles, pois nun- 
ca Eva conseguira ao mesmo tempo extrair alguma in- 
formagao e reproduzir o valor S = —2^/2. Eva, no 
maximo^^j ^^^^ "l^e os estados que cheguem a Al- 
ice e Bob alcancem S — —2 , nao importando a engen- 
hosidade de sua estrategia. E neste sentido que devemos 
considerar como garantido pelas leis da fisica o segredo 
da chave criptografica transmitida. 



IV. BBM92 



Podemos simplificar ainda mais o protocolo anterior 
0. Agora, ao inves de Alice e Bob orientarem sens 
detectores aleatoriamente em tres diregoes, eles neces- 
sitam apenas de duas diregoes. Eles orientam seus po- 
larizadores ou na diregao x ou na diregao y. Note que 
ambas as diregoes formam um angulo de 90°. 

Novamente, Alice e Bob anunciam publicamente a ori- 
entagao de cada polarizador em cada medida. No en- 
tanto, eles nao informam os resultados. Em seguida, 
eles descartam todas as medidas nas quais foram uti- 
lizadas orientagoes diferentes. Sao mantidos apenas os 
eventos cujos polarizadores foram orientados numa mes- 
ma diregao. Se Eva nao interferiu, toda medida onde 
ambos utilizaram uma mesma diregao para seus polar- 
izadores deve estar anticorrelacionada. Dessa forma, a 
grandeza 



5 = i?(x,x)+i?(y,y) 



(33) 



se Eva nao interfere. Isso ocorre pois para o single- 
to i<^(x, x) = E{y,y) — —1. Agora, se Eva interfere, 
mostramos na segao anterior que 



E{a,,hj) = J dnQdnb£i(na,nb)(ai • na){hj ■ rib). 



(34) 



8 



Portanto 
\S\ - 



J dnadnbp{na, Ub) [(x • na)(x • nt) 
+ (y n,)(ynb)]| 

< J dUadnhpiUa, Ub) jria^nb^ + ^ay^b^ I 

< J dnadnbp{na,nb)\na ■ nb\ 

< J dnadubpiua, nf,) = 1. 



(35) 



A ultima desigualdade vem do fato de que Ua e rib sao 
unitarios. Observando a Eq. H35|l vemos que nao ha meios 
de Eva atingir o valor de 5* dado pela Eq. Assim, 
usando uma parte dos resultados validos, Alice e Bob 
podem calcular S. Se seu valor for dado pela Eq. 
eles utilizam a outra parte dos resultados como chave. 
Caso o valor de S seja diferente, eles descartam todas as 
medidas e recomegam o protocolo. 

Na verdade, este protocolo e equivalente ao BB84. 
Para ver isso, basta notar que as medidas de fotons com 
OS polarizadores oricntados na diregao x (y) sao equiv- 
alentes, no protocolo BB84, aos fotons preparados por 
Alice na base A (B) e medidos por Bob tambem nessa 
mesma base. A linica diferenga entre os dois protocolos 
esta na escolha dos niimeros aleatorios a serem transmi- 
tidos. No BB84 essa escolha e feita por Alice ao escolher 
em qual base ela prepara seu foton. Por outro lado, no 
BBM92 Alice nao tem mais essa liberdade. Nesse pro- 
tocolo a seqiiencia e gerada no momento em que Alice 
mede os sens fotons de cada singleto. 

Para mostrar a seguranga destes protocolos, precisa- 
mos provar que toda medida que nao perturbe estados 
nao-ortogonais nao fornece nenhuma informagao sobre 
eles. Sejam \u) e \v) estes estados, i. e., {u\v) ^ 0. 
Vamos representar pela transformagao unitaria U a in- 
teragao entre os estados de Eva, nossa espia, com os es- 
tados transmitidos por Alice. O estado inicial de Eva e 
I a). Este estado e bem geral. Eva pode usar quantos 
fotons julgar necessario. Assim, para que Alice e Bob 
nao percebam que Eva interferiu na transmissao, 



Ui\u)\a)) = \u)\a'), 
U{\v)\a)) ^ \v)\a"). 



(36) 
(37) 



Aqui, |a') e \a") sao outros dois estados possfveis de Eva. 
Usando o fato de que U e uma transformagao unitaria, 

{a\{u\U^U\v)\a) = (a'\{u\v)\a") 

{a\a){u\v) = {u\v){a'\a") 

{u\v) = {u\v){a'\a") 

1 = {a'\a"). (38) 

A ultima igualdade decorre de \u) e \v) nao serem or- 
togonais. Mas a Eq. (|38|l nos diz que |a') e \a") sao 



identicos (estamos assumindo sempre estados normaliza- 
dos) . Dessa forma, qualquer medida que nao perturbe os 
estados nao-ortogonais nao fornece nenhuma informagao 
que permita a Eva distinguir entre eles. Provamos, as- 
sim, e de maneira bem geral, a seguranga de qualquer 
protocolo que se utilize de estados nao-ortogonais. 



V. B92 

Neste artigo j2| e demonstrada a possibilidade de se 
realizar CQ utilizando apcnas dois estado quanticos nao- 
ortogonais (no protocolo BB84 3] tmhamos quatro esta- 
dos). Sua importancia e mais conceitual do que pratica, 
pois esta proposta e dificil de ser implementada com as 
tecnologias atuais. A motivagao que levou Bennett a pro- 
por este protocolo e declarada no infcio de seu artigo: 
"Na Ref. jH| a seguranga dos sistemas de distribuigao de 
chaves que nao se utilizam de emaranhamento {BB84 e 
um exemplo) advem do fato de que qualquer medida que 
nao perturbe nenhum dos dois estados nao-ortogonais 
tambem nao fornece nenhuma informagao que permita 
distinguir entre esses dois estados. Isto naturalmente 
sugere a possibilidade de que a distribuigao de chaves 
possa ser realizada utilizando apenas dois estados nao- 
ortogonais..." (tradugao e enfase nossas). 

A demonstragao de que apenas dois estados nao- 
ortogonais sao suficientes e como se segue. Sejam \A) 
e \B) dois estados nao-ortogonais {{A\B) 0) e sejam 
Pa = I - \B){B\ e Pb = I - \A){A\, onde I e o op- 
erador identidade. Pa e Pb sao operadores de projegao 
em espagos ortogonais a \B) e a \A), respectivamente 
(note OS indices trocados). Dessa forma. Pa aniquila 
\B) {Pa\B) — 0), mas fornece um resultado positivo 
com probabilidade Tr[PA\A){A\] = 1 - \{A\B)\'^ quan- 
do e aplicado em \A). Resultado semelhante obtemos 
para Pb ■ Alice e Bob devem combinar de antemao quais 
serao os estados \A) e \B) utilizados e qual correspon- 
dera ao bit e qual ao bit 1. \A) pode representar um 
foton com polarizagao linear na diregao dada por 9 ^ ti /2 
e = e l-B) um foton com orientagao de polarizagao 
dada por 6 — 7r/2 e (j) = 7r/4. Veja Figs. Para 
comegar a distribuigao de chaves, Alice deve primeira- 
mente escolher uma seqiiencia de bits e envia-la a Bob 
codificando-a usando os estados \A) (bit 0) e \B) (bit 
1). Bob, por sua vez, escolhe aleatoriamente para ca- 
da estado recebido de Alice qual medida realizara: Pa 
ou Pb- Terminada a transmissao. Bob anuncia publi- 
camente para quais bits ele obteve resultados positivos 
sem, no entanto, informar o tipo de medida feita (se Pa 
on Pb)- Sao estes bits que serao utihzados por Alice e 
Bob para obter a chave criptografica. Como nos outros 
esquemas de CQ, alguns destes bits devem ser sacrifica- 
dos para checar se Eva monitorou a comunicagao. Assim, 
Bob publicamente informa que base utilizou para medir 
alguns de sens fotons. Se Eva nao interferiu, todas as 
medidas nas quais Bob obteve um resultado positivo de- 
vem corresponder a duas linicas possfveis situagoes: 1) 



9 



Alice enviou um estado |^) e Bob mediu Pa ou 2) Al- 
ice enviou \B) e Bob mediu Pb- Caso ocorra um evento 
positive para uma outra situagao, Alice e Bob descartam 
seus bits pois Eva interferiu na transmissao. Se apenas 
estes dois eventos positives ocorreram, eles tem certeza 
da seguranga da chave, a qual e constitufda pelos bits 
restantes. 

Mostramos, agora, uma maneira de se implementar o 
protocolo B92. Como dito no paragrafo anterior, supo- 
mos que \A) e \B) representam estados de polarizagao 
linear de fotons. As diregoes de polarizagao de ambos os 
fotons diferem de 45°. Em coordenadas esfericas, para 
\A) temos = e para \B) temos = 7r/4. Assim, a 
medida Pa pode ser feita utilizando um polarizador ori- 
entado na diregao dada por — Sir /A (um polarizador 
transmite fotons com probabilidade cos^ a, onde a e o 
angulo entre as diregoes de polarizagao do foton e do 
polarizador). A medida de Pb e realizada por um polar- 
izador orientado na diregao </) = it/2. Veja Figs. n]e|21 
Dessa forma, quando Alice enviar um foton representa- 
do pelo estado \A) {\B)) ele nao sera detectado por Bob 
quando ele fizer uma medida Pb {Pa), pois Pb\A) — 
{Pa\B) = 0). Este resultado ja era esperado pois temos, 
para estes casos, diregoes de polarizagao dos fotons ortog- 
onais as diregoes dos polarizadores. No entanto, quando 
Alice enviar o estado \A) {\B)) e Bob medir Pa (Pb), 
ele tera 50% de chance de detectar um foton (resulta- 
do positivo). Isso ocorre pois o angulo entre as diregoes 
de polarizagao dos fotons e dos polarizadores e de 45°. 
Neste esquema, se Alice enviou metade das vezes fotons 
descritos por \A) e metade das vezes fotons descritos 
por \B) e supondo que Bob mediu metade das vezes 
Pa e metade das vezes Pb, em apenas 25% das vezes 
Bob obtera um resultado positivo. Em outras palavras, 
metade das vezes ele nao detectara nada porque o eixo 
do seu polarizador sera colocado numa diregao perpen- 
dicular a diregao de oscilagao dos fotons e, para a outra 
metade, somente a metade fornecera um resultado positi- 
vo, devido ao eixo do polarizador estar a 45° em relagao 
ao eixo de polarizagao dos fotons. E mais, se eles ain- 
da sacrificarem metade dos bits para testar a nao inter- 



ferencia de Eva, eles obterao, no final, como chave, uma 
seqiiencia aleatoria de bits de tamanho igual a 1/8 do 
tamanho da seqiiencia original enviada por Alice. 

Reiteramos que o protocolo B92 e conceitualmente im- 
portante pois mostra a possibilidade de se fazer CQ uti- 
lizando apenas dois estados nao-ortogonais. Isso pode 
ajudar numa compreensao mais intuitiva da CQ. Alem 
disso, a nosso ver, e facil imaginar uma montagem ex- 
perimental utilizando apenas polarizadores para detectar 
OS fotons, como feito no paragrafo anterior. Essa simpli- 
cidade da montagem via polarizadores, o uso de apenas 
dois estados e mais o fato de que a maioria dos estudantes 
tem uma boa intuigao ffsica do que acontece quando um 
foton passa por um polarizador fazem do B92 um proto- 
colo muito litil para se apresentar a iniciantes no assunto. 
VI. DISCUSSAO E CONCLUSAO 

Neste artigo apresentamos de maneira acessivel a es- 
tudantes de graduagao em Fi'sica os quatro protocolos de 
distribuigao de chaves quanticas que fundaram a area da 
Criptografia Quantica (CQ). 

O primeiro deles, o protocolo BB84, e recomendado 
tambem como texto introdutorio a esse assunto. Devido 
a sua clareza e concisao, ainda hoje consideramos a Ref. 
uma otima opgao para se introduzir CQ a estudantes 
de Ffsica. 

O protocolo E91 requer um pouco mais de conhecimen- 
to do estudante. Contudo, com um pouco de esforgo e 
uma introdugao as desigualdades de Clauser, Horne, Shi- 
mony e Holt 5] ele tambem pode ser ensinado durante 
um curso de graduagao em Fisica. 

Os outros dois protocolos, por se tratarem de extensoes 
e simplificagoes dos protocolos anteriores, sao facilmente 
entendidos por estudantes que ja dominaram o assunto 
dos primeiros dois protocolos. 

Enfim, acreditamos na viabilidade de se ensinar CQ 
durante um curso de graduagao em Ffsica. E mais, ensi- 
nar CQ pode ser tambem extremamente vantajoso para 
convencer um piiblico mais amplo da importancia da 
Mecanica Quantica. 
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